Retele de POS-uri si schema cu

backoffice la banca

Raduta Andrei Valentin

Disciplina RCI - Master IISC
anul II
 Informatii generale despre POS-uri
Terminalele de tip POS (Point of Sale) sunt dispozitive electronice
utilizate, de obicei, in scopul efectuarii de tranzactii financiare folosind
carduri bancare.

O tranzactie financiara efectuata la un terminal POS are ca scop

operatiunea de transfer de fonduri din contul bancar al posesorului de
card in contul bancar al comerciantului, autentificarea posesorului in
sistemul bancar fiind efectuata prin intermediul cardului bancar al
acestuia.

O tranzactie financiara de acest tip contine cateva etape specifice,

incepand de la setarea sumei de tranzactie, citirea datelor, validarea
posesorului de card, si pana la schimbul de pachete intre terminal si
un server de autorizare, iar, in cele din urma, decontarea fondurilor la
nivel interbancar.
 Modalitati de citire a datelor de card

In prezent, exista patru modalitati prin care datele de autentificare (la nivel
bancar), ale posesorului de card, pot fi transmise catre terminal in cadrul unei
tranzactii de plata cu cardul:

- prin introducerea chip-ului integrat al cardului in cititorul de chip al terminalului

- prin apropierea cardului in mod Contactless (CTLS) de cititorul CTLS de la POS

- prin citirea bandei magnetice folosind fanta de citire din POS

- prin introducerea manuala (folosind tastatura terminalului) a datelor de card
minime
necesare identificarii posesorului in sistemul bancar (PAN-ul si data de expirare
a
cardului)
 Aspecte de securitate in cadrul unei
tranzactii
In prezent, cu
modalitatile de citire card
in mod bancar
contact-chip si in mod CTLS-chip
aduc cea mai multa siguranta privind protectia datelor posesorului de card si a
minimizarii riscurilor de frauda ce pot sa apara in acest domeniu.

In momentul in care se efectueaza o tranzactie prin oricare din cele doua

moduri, fluxul tranzactiei (si toate etapele din acesta) trebuie sa respecte
anumite
norme si standarde de securitate, bine reglementate de entitatile care emit
carduri
bancare certificate. Cel mai frecvent, aceste entitati sunt Visa, MasterCard si
Euroline (dar nu numai). Reuniunea tuturor regulilor si normelor implicate la
tranzactii financiare efectuate cu card bancar constituie standardele EMV
(Euroline/Master/Visa).
Ele trebuiesc respectate de: aplicatia software ce ruleaza de POS, de
bancile
 Administrarea aplicatiilor si parametrilor prezenti pe
terminale POS
In mod specific, o aplicatie POS contine relativ putine functionalitati de
baza.

Insa comportamentul aplicatiei, cel mai frecvent, difera destul de mult de

la un Comerciant la altul (prin Comerciant ne referim la vanzatorul care
utilizeaza POS-ul, in scopul incasarii de plati financiare cu cardul). Aceste
diferente apar datorita faptului ca tranzactiile trebuie sa aiba un
comportament specific locatiei Comerciantului respectiv: in special, in
functie de profilul de activitate (1) si de profilul de risc al Comerciantului (2).

(1) Astfel, la unele locatii de Comercianti vor fi active anumite

functionalitati (tipuri de tranzactii) relevante pentru locatia lui (cum ar
prezenta tranzactiei de tip Vanzare cu/fara Cashback la Vanzatorii
din
magazine, raportata la prezenta tranzactiilor de tip Preautorizare si
Completare la receptiile de Hotel-uri sau agentii de tip Rent-a-Car)
 Administrarea aplicatiilor si parametrilor prezenti pe
terminale POS
(2) Prin profil de risc, se poate exemplifica faptul ca se asteapta din partea
aplicatiei POS o anumita flexibilitate de a oferi posibilitatea configurarii
unor caracteristici specifice ale terminalului din punct de vedere al unor
aspecte de securitate, cum ar fi:

- posibilitatea de a inhiba/permite in mod controlat utilizarea unor metode de

citire a datelor de card (cum ar fi introducere manuala a PAN-ului si a datei
de expirare a cardului sau citirea bandei magnetice);

- posibilitatea de a inhiba/permite in mod controlat efectuarea unor tipuri de

tranzactii ce permit vulnerabilitati de frauda prin utilizarea abuziva
(tranzactii de tip Returnare, Vanzare cu Cashback, asociate cu configurari
ale terminalului ce permit aprobari in mod offline ale unor tranzactii cu sume
mai mari decat cele recomandate in mod obisnuit pentru acest mod de
autorizare). In aceste cazuri, cel mai frecvent sunt expusi comerciantii.

Insa acest nivel de customizare nu se aplica si pentru aspectele de securitate

critice, reglementate de EMV; acestea sunt bine stabilite si respectate pe
parcursul tranzactiei, fiind impuse de POS. In mod standard, ele sunt verificate
si validate in timpul certificarii EMV, de entitatile reprezentante (Visa,
MasterCard, Euroline, etc).
 Administrarea aplicatiilor si parametrilor prezenti pe
terminale POS

Asadar, gradul de customizare al comportamentului POS-ului trebuie sa

fie unul mare, conform cerintelor din piata.

Acest lucru se poate face doar prin posibilitatea configurarii a unui numar
mare de parametri (in mod uzual depasesc numarul de 400, referindu-ne
strict la parametrii ce pot fi schimbati, nu la valori posibile), care
trebuiesc administrati intr-un mod cat mai eficient, in special atunci cand
reteaua respectiva de terminale POS ajunge sa depaseasca
5 000 -6 000 de terminale, ceea ce se intampla in mod frecvent si in tara
noastra.

Un exemplu de solutie pentru a administra flote de terminale este un

Terminal Management System (TMS).
Schema descriptiva pentru traseul datelor privind conexiunea dintre
POS-uri si Sistemul de Gestiune a Terminalelor
TMS este o aplicatie de tip web, care:

- prin intermediul unei baze de date (implementata, de exemplu, prin SGBD-uri

precum SQL Server) stocheaza, modifica si actualizeaza (efectueaza update-
uri - transmite in mod remote) parametrii sau aplicatia POS ce vor fi folositi/ va
rula pe terminalele din diverse retele de POS-uri;
- are posibilitatea de a genera rapoarte de update (actualizare) a versiunilor de
aplicatie/parametrii ce ruleaza pe fiecare terminal in parte, sau a modului in care
acestia au fost actualizati, sau ce erori au aparut in trecut la incercarea de a
modifica sau transmite noua versiune de aplicatie POS sau de parametri la
terminal;
- permite conectarea la terminalele din productie in mod: Ethernet, Gprs,Dial Up;
- asigura multiple norme de securizare a informatiilor specifice fiecarui terminal din
retea (criptarea bazei de date, mecanisme de acces - la interfata de
vizualizare/schimbare a configuratiilor terminalelor doar pe baza de autentificare
de tipul utilizator/parola, mecanisme de constrangeri de drepturi per utilizator,
declansarea unor anumite actiuni de semnalizare/alarme la efectuarea unor
anumite actiuni efectuate de utilizatori);
- permite o comunicare criptata (sau beneficiaza de criptarea comunicatiei) cu
terminalele POS pe care le gestioneaza: de exemplu prin protocolul SSL sau TLS,
sau implementari particulare de criptare/decriptare folosind algoritmi cum ar fi
3DES;
- asigura si alte servicii si mijloace specifice tipului si scopului sau de aplicatie.
Schema descriptiva pentru traseul datelor privind conexiunea dintre
POS-uri si entitatile implicate in procesul de autorizare a tranzactiilor
financiare
Sunt mai multi factori (ce variaza de la tranzactie la tranzactie) ce influenteaza procesele
care se efectueaza in fiecare din nodurile prezente in schema anterioara. De exemplu,
prezenta unui Concentrator de pachete nu este in mod obligatoriu necesara, cum ar fi
cazul in care terminalele POS utilizeaza comunicatie Ethernet sau GPRS si nu
efectueaza criptare SSL a comunicatiei.

In acest caz, pachetele sunt transmise direct la procesatorul de pachete de tranzactii,

care va determina banca emitenta a cardului (pe baza unor informatii din pachetul
receptionat de la terminal) si, dupa o anumita reformatare a pachetului, il va trimite la
aceasta.

In cazul in care terminalul POS utilizeaza comunicatie Dial Up, este necesara conectarea
mai intai la un Concentrator (deoarece acesta asigura interfata de receptionare specifica
Dial Up si este capabil sa interpreteze Header-ul TPDU din pachet si sa determine in
mod corect catre ce entitate sa ruteze, in continuare, pachetul de date receptionat prin
Dial Up)

De asemenea, daca terminalele utilizeaza crptare SSL (transmit pachetele de date deja
criptate prin SSL sau TLS), acesta este un alt caz ce implica interconectarea lor mai intai
la un Concentrator (ce gestioneaza si un server de criptare/decriptare SSL, iar terminalul
efectueaza Handshake-ul SSL cu acesta) in scopul decriptarii pachetelor, dupa care
pachetele sunt transmise catre Procesatorul de pachete de tranzactii, de obicei printr-o
conexiune de tip vpn
 Un exemplu de flux de autorizare a unei tranzactii
financiare efectuata cu card bancar la un terminal POS
1) Introducerea sau preluarea de la casa de marcat(sau de la telefonul
mobil - prin intermediul unei aplicatii specifice) a sumei tranzactiei.

2) Citirea datelor de card ale clientului (fie in mod CTLS, fie prin citirea
chip- ului, fie prin citirea bandei magnetice, fie prin introducerea
manuala a unor date de card).

3) Aplicarea eventualelor restrictii, preconfigurate pe terminal, la nivel de

BIN (Bank Identification Number primele 6 caractere din PAN) pentru
PAN-ul cardului respectiv.

4) Daca a fost citit chip-ul cardului in mod CTLS sau contact, se aplica
normele de securitate ce implica autentificare mutuala conform normelor
EMV: verificare mutuala intre chip-ul CTLS sau chip-ul contact al
cardului si terminal prin schimb de certificate si criptari/decriptari (in mod
asemanator Handshake-ului SSL), la care, in functie de situtatie si de
anumiti factori variabili, se mai pot adauga si metodele CVM (Cardholder
Verification Methods), cum ar fi introducerea PIN-ului cardului; Cel mai
frecvent, aceasta etapa se finalizeaza cu solicitarea introducerii PIN-ului
de catre posesorul de card.
 Un exemplu de flux de autorizare a unei tranzactii
financiare efectuata cu card bancar la un terminal POS

5) Impachetarea tuturor datelor specifice acelei tranzactii intr-un pachet

ce respecta protocolul ISO8583 (standard ce descrie un format des
intalnit de pachete si fluxuri specifice tranzactiilor financiare cu card
bancar).

6) Conectarea la retea (GPRS, Ethernet sau Dial Up): fie prin DHCP, fie
prin folosirea unui IP static, fie prin apel telefonic catre un modem sau p
centrala Dial Up (in mod sincron sau asincron).

7) Daca se foloseste criptare SSL/TLS, terminalul se conecteaza la

Concentrator (moment in care are loc Handshake-ul SSL/TLS). Daca nu
se foloseste criptare SSL/TLS, terminalul se conecteaza direct la
Procesatorul de tranzactii. De cele mai multe ori, aceasta conectare
reprezinta stabilirea unei conexiuni prin socket, pe baza unor parametri
de Host deja cunoscuti de terminal : Host IP si Host Port.
 Un exemplu de flux de autorizare a unei tranzactii
financiare efectuata cu card bancar la un terminal POS

8) Trimiterea pachetului catre Concentrator (iar acesta il ruteaza catre Procesator

prin tunele vpn private si folosind criptare SSL/TLS cu alta pereche de
certificate SSL/TLS, insa fara a-i altera continutul de informatie utila) sau direct
catre Procesator.

9) Procesatorul de pachete de tranzactii determina banca emitenta a cardului

utilizat (pe baza unor informatii din pachet), verifica anumite restrictii (dictate de
banca acceptatoare a platii Acquirer - la care este inregistrat contul bancar al
Comerciantului), iar daca acestea sunt indeplinite - adauga anumite informatii
suplimentare (anumite campuri noi) in pachet, tot conform protocolului ISO8583,
si transmite pachetul catre banca emitenta.

10) Banca emitenta verifica integritatea pachetului si validitatea cardului, precum

si daca in contul clientului (posesorului de card) exista suma solicitata in pachetul
de tranzactie; in caz negativ la oricare din verificari, respinge tranzactia si trimite
un pachet specific (conform protocolului ISO8583) catre terminal, pe aceeasi ruta
pe care a primit pachetul (adica prin Procesator si, eventual, prin Concentrator).
 Un exemplu de flux de autorizare a unei tranzactii
financiare efectuata cu card bancar la un terminal POS

11) Banca emitenta reimpacheteaza o parte din datele provenite din pachetul
de la POS si anumite date noi intr-un nou pachet (conform protocolului
ISO8583) pe care il trimite catre entitati precum Visa, Mastercard, Euroline, in
functie de tipul cardului emis.

12) Entitatile Visa sau Mastercard sau Amex (in functie de cardul folosit)
transmit catre banca emitenta un raspuns privind aprobarea sau respingerea
tranzactiei.

13) Banca emitenta trimite catre Procesatorul de pachete de tranzactii

raspunsul.

14) Procesatorul de pachete de tranzactii trimite catre banca Acquirer un

pachet care sa indice aprobarea/respingerea tranzactiei; in cazul in care
tranzactia a fost aprobata, banca Acquirer inregistreaza contul terminalului
implicat, suma tranzactiei, si PAN-ul cardului utilizat in scopul decontarii
ulterioare.
 Un exemplu de flux de autorizare a unei tranzactii
financiare efectuata cu card bancar la un terminal POS
15) Banca Acquirer trimite catre Procesator, la randul ei, raspunsul de
aprobare sau respingere a tranzactiei.

16) Procesatorul de pachete de tranzactii trimite catre terminal pachetul (de

raspuns) al tranzactiei (daca a fost implicat si un Concentrator pentru
conectarea la terminal, pachetul va fi trimis mai intai la Concentrator si
acesta il va trimite la terminal.

17) Terminalul analizeaza pachetul de raspuns, trimite informatii relevante

despre statusul aprobarii tranzactiei si catre chip-ul cardului (daca tranzactia
s-a efectuat prin citirea contact a chip-ului) si asteapta primirea de la chip a
aprobarii finale a tranzactiei (chip-ul cardului are un rol important in
aprobarea finala a tranzactiei). In acest punct, chip-ul foloseste o parte din
datele din pachet, provenite de la banca emitenta, in scopul de a stabili
autenticitatea acesteia (pe baza unor informatii - cunoscute de chip si de
banca emitenta, care sunt criptate de banca emitenta cu o anumita cheie
privata asimetrica si, daca este cazul, de a executa anumite scripturi trimise
de banca emitenta specifice tranzactiei respective (deblocare contor pin,
resetare contori, etc).
 Un exemplu de flux de autorizare a unei tranzactii
financiare efectuata cu card bancar la un terminal POS

18) Daca tranzactia este aprobata, terminalul printeaza 2 chitante specifica

de aprobare (una pentru client si una pentru comerciant);

Daca tranzactia este respinsa (desi a fost aprobata de Host), terminalul

printeaza o chitanta specifica de respingere, ce va fi predata catre
posesorul de card. Tot in acest caz, formeaza un pachet specific de
anulare automata (Automatic Reversal) pe care il trimite la banca
emitenta a cardului (Issuer) in scopul anularii decontarii banilor clientului
pentru tranzactia curenta.
 Concentratoare de pachete de date si Servere SSL

Concentratoarele de pachete de date au multiple roluri in cadrul retelelor de

terminale POS (de rutare, criptare/decriptare SSL, prelevare de loguri).
Ele constituie noduri de rutare a pachetelor spre destinatii diferite, in functie
de tipul de pachet de date primit de la terminal. Rutarea pachetelor catre
destinatii distincte se poate face prin mai multe moduri, printre care si:

-Parsarea pachetului primit de la terminal, analiza Header-ului TPDU

(Transfer Protocol Data Unit), identificarea valorii NII (Network International
Identifier) pentru destinatie, si determinarea urmatorului nod catre care va
trimite pachetul, pe baza unor setari efectuate in prealabil (setarea ca pentru
anumite valori de NII destinatie primite de la terminal sa ruteze pachetele
catre anumite adrese, cum ar fi anumite IP-uri;

- Analiza canalului pe care a primit pachetul de date (canal de intrare, de tip

Inbound) si in functie de acesta - de exemplu in functie de port-ul pe care a
receptionat pachetul - determinarea urmatoarei adrese (IP:port) la care va
trimite pachetul, pe baza unor setari efectuate in prealabil (la receptionarea
pachetelor pe anumite canale de Inbound, va ruta aceste pachete pe
anumite canale de iesire, adica de tip Outbond)
 Procesatoare de tranzactii

Spre deosebire de Concentratoare, acestea nu doar ruteaza pachetele catre o

alta entitate implicata in procesul de autorizare, ci efectueaza operatiuni
precum: parsarea integrala a pachetului, analiza si verificarea campurilor
componente, validarea formatului si a continutului campurilor pe baza
protocolului de comunicatie ISO8583, schimbarea anumitor campuri sau
adaugarea de campuri noi in pachet, etc.

- pot fi implicate si in sistemul de gestiune a cheilor utilizate de terminalele

POS la criptarea unor date sensibile continute in pachet, specifice posesorului
de card.

- trebuie sa satisfaca cerintele normelor PCI DSS (Payment Card Industry

Data Security Standard) in ceea ce priveste nivelul de securitate oferit pentru
datele sensibile receptionate de la terminalul POS, despre posesorul de card
ce efectueaza tranzactia.
Probleme frecvente de comunicatie intre POS si Host si
solutiile de prevenire a duplicarii tranzactiilor
In functie de tipul de comunicatie utilizat de un terminal pentru conectarea
la reteaua de autorizare, problemele de conectivitate si cauzele lor pot fi
foarte variate.
-La terminalele cu comunicatie GPRS, de multe ori, datorita gradului de
incarcare a retelei, se poate intampla ca pachetele de date sa ajunga greu
la destinatie sau chiar sa nu mai ajunga. O alta problema o constituie
semnalul slab, cauzat fie de plasarea terminalului intr-o locatie situata la
distanta mare de antenele GSM, fie de aparitia problemelor la
echipamentele ce asigura conectivitatea GPRS a terminalului la retea.

- La terminalele cu comunicatie Dial Up, se intampla frecvent sa apara

probleme de comunicatiei atat datorita calitatii slabe a liniei telefonice, dar
si a schimbarilor aduse de furnizorii de servicii Dial Up asupra liniilor si
echipamentelor (anumite reconfigurari aduse de provideri in scopul altor
clienti ce folosesc linia, insa care nu sunt compatibile cu modul de
configurare a terminalelor: schimbarea functionarii liniei din SDLC in
ASYNC, modificarea ratelor suportate, a formatelor de date, etc)
 Probleme frecvente de comunicatie intre POS si Host si
solutiile de prevenire a duplicarii tranzactiilor
- La terminalele cu comunicatie Ethernet ( LAN), apar probleme cum ar fi
pierdere de pachete, esuarea Handshake - ului SSL (cauzata de
desincronizarea certificatelor si cheilor SSL), receptionarea pachetelor in
ordinea gresita sau receptionarea mai multor pachete de date concatenate
intr-unul singur, ultima ducand la esuarea verificarii integritatii pachetului
receptionat - pe baza algoritmilor de tip verificare CRC (Cyclic redundancy
check).

O problema specifica la retelele de terminale POS este riscul de dublare a

unei tranzactii financiare efectuata cu cardul bancar.
Aceasta problema este corelata in special cu anumite probleme de
comunicatie, de diverse tipuri si cauze, ce apar intr-un moment critic al
procesarii tranzactiei: cel mai frecvent scenariu consta in faptul ca se
intampla ca terminalul sa trimita pachetul de tranzactie (pachetul de
Request), acesta ajunge cu succes la Host-ul de autorizare, Host-ul o
aproba si trimite catre terminal raspunsul de aprobare al tranzactiei, insa, pe
traseul pachetului - intre primul nod (la care Host-ul l-a trimis cu succes) si
pana la destinatia finala a pachetului (terminalul POS), comunicatia este
intrerupta. in acest caz, POS-ul are obligatia de a trimite catre Host un
Schema descriptiva pentru tratarea unei probleme de
comunicatie cauzata de lipsa raspunsului de la Host in
cadrul efectuarii unei tranzactii
In mod specific acestui tip de speta privind gestionarea problemelor de
comunicatie, sagetile 8 si 9 sunt punctele in care cel mai frecvent apare
riscul de dublare a tranzactiei. In absenta unui mecanism de confirmare a
receptiei pe baza de ACK (Acknowledgment) implementat la nivelul
intregii scheme de plata, daca in aplicatia ce ruleaza pe POS nu ar fi
implementate mecanisme de prevenire a dublarii, Host-ul nu ar avea cum
sa stie faptul ca POS-ul nu a mai primit raspunsul si a respins offline
traznactia.
Un astfel de mecanism (implementat pe POS) este informarea Host-ului de
catre POS, prin transmiterea unui pachet special de Anulare Automata,
reglementat tot prin standardul ISO 8583 (Automatic Reversal - initiat de
terminal), prin care Host-ul este anuntat ca POS-ul a respins tranzactia
anterioara in lipsa raspunsului.

In concluzie, in momentul receptionarii anularii automate de la POS, Host-ul

va fi, de asemenea, obligat sa asigure anularea tranzactiei la nivel contabil,
in special in cazul in care ar fi aprobat-o anterior.
Important este ca, in cazul respingerii tranzactiei de catre POS, sa ajunga
aceasta informatie la toate celelalte entitati implicate in schema de plata.

De obicei, este suficienta informarea procesatorului privind respingerea de

POS, iar procesatorul se ocupa mai departe de transmiterea pachetului de
Anulare Automata catre restul de entitati.
 Bibliografie
1. http://www.3gpp.org/technologies/keywords-acronyms/102-gprs-edge

2. http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?
csnumber=68307

3. https://www.pcisecuritystandards.org/documents/PCI_DSS_v3-1.pdf

4. http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?
csnumber=54550

5. http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?
csnumber=50941

6. https://sites.google.com/site/paymentsystemsblog/iso8583-financial-
transaction-message-format

7. http://www.iso.org/iso/iso_catalogue/catalogue_ics/catalogue_detail_ics.htm?
csnumber=15871